使用Cloud SQL Proxy连接GCP Cloud SQL时IAM认证报错求助

1. 开启SQLTools连接的SSL强制选项 #

IAM用户连接Cloud SQL必须使用加密传输，即使通过本地代理也需要客户端启用SSL：

• 在SQLTools的连接配置界面，找到SSL设置区域（不同数据库类型位置略有差异，比如MySQL会有单独的SSL配置栏）
• 勾选启用SSL（或"Require SSL"）选项，无需手动上传CA证书——Cloud SQL Proxy已处理了隧道加密，只需客户端开启SSL模式即可。

2. 优化Cloud SQL Proxy启动命令（可选） #

添加--require-ssl参数，强制所有通过代理的连接使用SSL，进一步避免未加密请求：

./cloud-sql-proxy --auto-iam-authn --require-ssl <INSTANCE NAME>

3. 验证IAM用户权限 #

确保目标IAM用户拥有以下核心权限：

• cloudsql.instances.connect：允许连接Cloud SQL实例
• 若需操作数据库，补充对应权限（如cloudsql.databases.select等）
  最快的方式是给用户分配Cloud SQL Client预定义角色，该角色包含连接所需的基础权限。

4. 核对IAM用户名格式 #

连接时的用户名必须是完整的IAM邮箱地址（如your-iam-user@your-domain.com），不能省略域名部分，确保SQLTools的用户名输入框填写正确。

内容的提问来源于stack exchange，提问作者OnionCoder